PM Tillämpning av PUL inom Barn- och utbildningsnämndens verksamheter

Transkript

1 PM BARN- OCH UTBILDNINGSFÖRVALTNINGEN Tillämpning av PUL inom Barn- och utbildningsnämndens verksamheter 1. Bakgrund PuL, personuppgiftslagen, trädde i kraft hösten Övergångsvis, under en treårsperiod, tillämpades dock fortfarande datalagen för de behandlingar som hade påbörjats före ikraftträdandet. Den 1 oktober 2001 upphörde datalagen att gälla och PuL kommer att reglera de allra flesta behandlingar av personuppgifter. Syftet med personuppgiftslagen är bl a att skydda människor mot att deras personliga integritet kränks genom behandling av personuppgifter. Alla personuppgifter i Barn- och utbildningsnämndens register ska behandlas i enlighet med Personuppgiftslagen (SFS 1998:204). Datainspektionen prövar inte om en anmäld behandling är tillåten enligt personuppgiftslagen. Den personuppgiftsansvarige (Barn- och utbildningsnämnden) ansvarar alltid själv för att behandlingen är laglig. Behandling av personuppgifter kan antingen vara automatiserad eller manuell. (IT-stöd eller papper.) Förnamn Efternamn är ingen personuppgift. Däremot är Förnamn Efternamn, Värnamo kommun det. Regeln är om man kan peka ut personen ifråga med hjälp av den information som lämnas på webbplatser eller register är det en personuppgift. När det gäller policy och rutiner för utlämnande av registerutdrag till enskilda och företag hänvisas till av Barn- och utbildningsnämnden särskilt antaget PM Myndighetens personuppgiftsansvar samt grundläggande behandlingskrav Barn- och utbildningsnämnden är personuppgiftsansvarig för sin verksamhet. Den personuppgiftsansvarige ska bland annat se till att: Personuppgifter behandlas lagligt. Personuppgifter behandlas korrekt. Personuppgifter samlas in för bestämda ändamål och inte används på annat sätt. Noteringar/kommentarer Personuppgifter får endast behandlas när det är lagligt enligt personuppgiftslagen eller annan tillämplig lagstiftning. Korrekt behandling förutsätter att de registrerade känner till behandlingen och ges möjlighet att bedöma behandlingen. Detta innebär att ändamålet med behandlingen så långt det är möjligt på förhand är preciserat.

2 Personuppgifter som behandlas är riktiga och aktuella. Rimliga åtgärder vidtas för att rätta felaktiga uppgifter. Personuppgifter gallras då de inte behövs för behandlingen. Denna bedömning görs i förhållande till ändamålet med behandlingen. Den personuppgiftsansvarige har ansvaret för att rätta och korrigera felaktiga uppgifter. När personuppgiften inte behövs är den inte att betrakta som aktuell och ska gallras. Observera dock att arkivreglerna i offentlig förvaltning tar över motsvarande regler i PuL. 3. Tillåten behandling av personuppgifter Generellt sett ska alltid samtycke från den behandlade inhämtas. Personuppgifter får dock behandlas utan samtycke om behandlingen är nödvändig för att: Noteringar/exempel Ett avtal med den registrerade ska kunna fullgöras. Viktiga (vitala) intressen för den registrerade ska kunna skyddas. Den personuppgiftsansvarige ska kunna fullgöra en rättslig skyldighet. T ex uppgifter om anställd i kommunen, inom barnomsorgen, teknisk försörjning. Viktiga intressen ska vara av livsviktig betydelse för den registrerade. Kommunen har många rättsliga skyldigheter enligt svensk lag. För utbildningssektorn krävs elevregister, i anställningsmyndigheten ska preliminärskatt avdras osv. En arbetsuppgift av allmänt intresse ska kunna utföras. Den personuppgiftsansvarige ska utföra en arbetsuppgift i samband med myndighetsutövning. När den personuppgiftsansvariges intresse väger tyngre än den registrerades intresse. I denna skrivning ryms exempelvis arkivering för forskning och framställning av statistik. Nödvändiga behandlingar i samband med myndighetsutövning hittar vi bl a inom det social-, byggoch miljö-, skolverksamhet. Här ska en intresseavvägning göras mellan den personuppgiftsansvarige och den registrerade. Det är den registrerades behov av skydd mot kränkning av den personliga integriteten som ska ligga i den ena vågskålen samt den personuppgiftsansvariges intresse av behandling i den andra.

3 4. Förbud mot behandling av känsliga personuppgifter Det är förbjudet att behandla personuppgifter som avslöjar: Noteringar/exempel Ras eller etniskt ursprung. Politiska åsikter. Religiös eller filosofisk övertygelse. Medlemskap i fackförening. Hälsa Sexualliv Som exempelvis hudfärg. Gäller för ex. ideologisk och politisk grupptillhörighet. Gäller även aktiviteter som hör ihop med sådan övertygelse som ex medlemskap i församling. Gäller alltså medlemskap i fackförening. Gäller uppgifter om någons hälsotillstånd Gäller uppgift som exempelvis anger att någon har viss sexuell läggning. Kommentar En rad undantag från förbudet att behandla känsliga personuppgifter finns. Undantagen behandlar situationer där den registrerade gett sitt samtycke, själv offentliggjort uppgifter, i samband med rättsliga anspråk och i förhållandet arbetsgivare arbetstagare. 5. Information till den registrerade Information som finns i register ska självmant lämnas till den registrerade eller i vissa fall efter ansökan. Förenklat kan huvudregel anges vara:! När uppgift inhämtas från den registrerade själv att uppgiftsinhämtaren omedelbart på blankett eller annat lämpligt sätt informerar om behandlingen, (se avsnittet Inhämtande av samtycke nedan),! När uppgifter hämtas från annat håll att uppgiftslämnaren informerar i samband med registreringen. I detta fall behövs ingen information tex om inhämtandet följer av lag eller det skulle innebära en oproportionerligt stor ansträngning att informera de registrerade. Undantag från informationsskyldigheten görs generellt om den registrerade redan känner till informationen. Den personuppgiftsansvarige är skyldig att till var och en som ansöker om det en gång per kalenderår gratis lämna besked om personuppgifter som rör behandling av den sökande. Informationen som ska lämnas till den registrerade anges i avsnittet Inhämtande av samtycke nedan. Det är den personuppgiftsansvarige som har bevisbördan för att den registrerade har fått informationen.

4 6. Rättelse Personuppgifter som behandlas ska vara riktiga och de ska också vara aktuella. Alla rimliga åtgärder ska vidtas för att rätta, blockera eller gallra felaktiga uppgifter. Principen är att personuppgifter ska hålla högsta möjliga kvalitet. Det är personuppgiftsansvarig (nämnden) som ska rätta, gallra eller blockera felaktiga uppgifter om den registrerade. 7. Säkerhet För att minimera risker och administration är det att rekommendera att kommunen arbetar fram generella regler avseende den säkerhet som är en följd av behandling av personuppgifter och att dessa sammanställs i ett IT-säkerhetsdokument. I Värnamo kommun hänvisas till den av Kommunledningen fastställda IT-planen. 8. Anmälan till personuppgiftsombud Personuppgiftsansvarig ska anmäla behandlingar till kommunens personuppgiftsombud. Personuppgiftsombudet tillser att behandlingarna förtecknas på erforderligt sätt Om behandlingen bedöms vara av den art att de ska rapporteras till personuppgiftsombudet ska följande anges:! Den personuppgiftsansvariges identitet (namn, adress, telefon- och organisationsnummer).! Ändamålet med behandlingen.! En beskrivning av den kategori av registrerade som berörs av behandlingen.! En kort beskrivning av de uppgifter som ska behandlas om de registrerade.! Uppgift om den kategori mottagare till vilka uppgifterna kan komma att lämnas ut.! Kort beskrivning av vilka säkerhetsåtgärder som vidtagits för att trygga behandlingen. I Värnamo kommun finns ett speciellt upprättat IT-stöd för inrapportering. Inom Barn- och utbildningsnämndens verksamhet är förvaltningssekreteraren personuppgiftsombud och rapporterar vidare genom IT-stödet till kommunens centrala personuppgiftsombud. Undantag från anmälningsskyldighet är:! Behandling i anslutning till (TF 2 kap) utlämnande av allmän handling.! Behandling i anslutning till arkivering och som utförs av arkivmyndighet.! Behandling som utförs enligt särskilda föreskrifter i annan lag.! Behandling av personuppgifter i löpande text. Förteckningen över den personuppgiftsansvariges behandlingar ska finnas tillgänglig som allmän och offentlig handling. 9. Inhämtande av samtycke För att vara helt säker på att få behandla medborgares personuppgifter i automatiserade register bör samtycke inhämtas. När det gäller föräldrar till barn som återfinns inom barnomsorgen bör ansökningsblanketter mm kompletteras med följande text: Med min/vår underskrift samtycker jag till att mitt namn, och andra icke känsliga uppgifter enligt nedan, får behandlas enligt specifikation nedan samt behandlas i enlighet med Personuppgiftslagen (SFS 1998:204).

5 Personuppgiftsansvarig myndighet: Barn- och utbildningsnämnden i Värnamo kommun Benämning: Skol- och barnomsorgsadministrativt system Ändamål: Administration av skol- och barnomsorgsverksamhet Uppgifter som behandlas: Namn, adress, tel nr Personnummer: Ja Internetpublicering: Nej Den/de kategorier (grupper) av personer som berörs av behandlingen: Alla invånare i Värnamo kommun De mottagare eller kategorier (grupper) av mottagare till vilka uppgifterna kan komma att lämnas ut: Enligt lagen om allmän och offentlig handling är nämnden skyldig att lämna ut registrerade uppgifter till personer, och i viss mån företag. Dock kommer naturligtvis inte att skyddade uppgifter (sekretess o dyl.) att på något sätt lämnas ut. Kommer uppgifterna att överföras till tredje land: Nej. Åtgärder som har vidtagits för att trygga säkerheten i behandlingen: Kommunens säkerhetspolicy har följts. Har du frågor kring personuppgiftslagen kan du kontakta förvaltningens utsedda Personuppgiftsombud som har till uppgift att tillse att registrerade uppgifter behandlas i överensstämmelse med personuppgiftslagens intentioner. Med stöd av personuppgiftsförordningen kommer de anmälda uppgifterna med undantag för beskrivningen av vidtagna säkerhetsåtgärder att registreras i Datainspektionens anmälningsregister. Registret är tillgängligt för allmänheten. Ytterligare information kan fås från Datainspektionen Postadress: Box 8114, Stockholm Tel E-post: datainspektionen@datainspektionen.se Webbplats: Om förvaltningen hamnar i läget att en förälder vägrar skriva under blanketten försedd med ovanstående text kan hävdas att verksamheten kräver behandling av uppgifter för att avtalet med den registrerade ska kunna fullgöras t.ex. administrera barnomsorg och debitering av detta. Inte ens Datainspektionen kan svara på vad som händer om föräldrarna överklagar. Rättspilotfall torde avgöra utgången av dylika händelser. 10. Tredje land och Internet I PuL regleras överföring av personuppgifter till tredje land, dvs. länder som inte är med i EU eller EES-samarbetet. Den som t.ex. publicerar personuppgifter i löpande text på en webbplats bör ha inhämtat samtycke från berörda personer. Om bilder på elever eller andra personer publiceras kan en kopia av bilden skrivas ut på papper och kompletteras med text som anger att bilden kommer att publiceras under förutsättning att samtycke lämnas från föräldrar och/eller eleven. Dessa får, om de samtycker till publiceringen, skriva under att de intygar detta på papperet där kopian av bilden finns. Diarier och protokoll får läggas ut på Internet om man beaktar att tredje mans uppgifter skyddas. Alla webbsidor som publiceras under nämndens verksamhet bör kompletteras med följande text:

6 Personuppgiftslagen Medgivande finns från samtliga personer som publicerats på dessa webbsidor. I enlighet med Personuppgiftslagen (SFS 1998:204) för mer info om PUL se datainspektionens sidor. 11. Förslag till beslut Barn- och utbildningsförvaltningens förslag till beslut: Barn- och utbildningsnämnden beslutar att fastställa PM som nämndens policy att användas i PuL-handläggningen inom Barnoch utbildningsförvaltningen.